Sekoia describió una campaña que usó sitios comprometidos o clonados y un servicio de analítica intervenido para distribuir exploits ya corregidos contra dispositivos iOS y Android sin actualizar. El objetivo era robar cookies y, en algunos casos, contraseñas Wi-Fi o datos del dispositivo. La atribución a APT29 es de confianza moderada-alta; Sekoia dice que los dispositivos plenamente actualizados no están afectados.
El Resumen (Sin rodeos)
Sekoia describió una campaña de ataque que usó sitios web comprometidos o clonados y un servicio de analítica intervenido para repartir exploits ya corregidos contra dispositivos iOS y Android que no estaban actualizados. El objetivo: robar cookies de sesión y, en algunos casos, contraseñas de Wi-Fi o datos del dispositivo. La atribución es a APT29 con confianza moderada-alta, y el detalle tranquilizador es que los equipos plenamente actualizados no están afectados.
Lo primero que se me viene a la mente
El ataque tiene el mismo guion de siempre: sitios de confianza envenenados + usuarios que no actualizan = visitas que terminan robando cookies. Lo interesante es el "n-day": no es una falla nueva sino una ya corregida que se explota en los que siguen con el sistema viejo — o sea, no te atacan por descubrir algo genial, te atacan por tu procrastinación al actualizar. Y la atribución a APT29 (el grupo que todos vinculan a Rusia) viene con confianza "moderada-alta", que en el idioma de los analistas significa "creemos que sí, pero no nos graben diciéndolo". El resumen operativo es uno: actualiza tu móvil, actualiza tu móvil, actualiza tu móvil.
¿Quién es quién en la noticia?
- Sekoia — La firma de seguridad que investigó y publicó la campaña.
- APT29 — El grupo de cibercrimen/espionaje atribuido a Rusia (también conocido como Cozy Bear); la atribución es de confianza moderada-alta.
- Watering holes (sitios clonados o comprometidos) — Páginas reales o falsas envenenadas que el atacante usa como cebo para visitantes.
- Explota n-day — Vulnerabilidades ya corregidas que se atacan en equipos que no instalaron el parche.
- Cookies y contraseñas Wi-Fi — Lo que buscaban robar: sesiones abiertas y accesos de red del dispositivo.
Compartir